Kritische OrdaSoft Joomla CCK-Sicherheitslücken ermöglichen Remote Code Execution und SQL-Injection ohne Anmeldung

Die OrdaSoft Joomla CCK Sicherheitslücke CVE-2026-102427 ermöglicht Remote Code Execution ohne Anmeldung, indem ein Angreifer eine manipulierte PHP-Datei auf den Webserver hochladen und anschließend ausführen kann. Zusätzlich enthält dieselbe Joomla-Erweiterung eine kritische unauthentifizierte SQL-Injection in den öffentlich erreichbaren Listenansichten.

Beide Sicherheitsprobleme betreffen OrdaSoft Joomla CCK beziehungsweise OS CCK in Versionen vor 8.3.16. CVE-2026-102427 hat mit 10,0 die maximale CVSS-4.0-Bewertung. Die SQL-Injection wurde ebenfalls in Version 8.3.16 behoben, besitzt zum Zeitpunkt dieser Veröffentlichung jedoch keine eigene CVE-Nummer.

Was ist die OrdaSoft Joomla CCK Sicherheitslücke?

In OrdaSoft Joomla CCK, auch als OS CCK beziehungsweise com_os_cck bekannt, wurden zwei schwerwiegende Sicherheitsprobleme festgestellt:

• CVE-2026-102427 – unauthentifizierter Arbitrary File Upload mit Remote Code Execution – CVSS 10,0 Critical;
• unauthentifizierte SQL-Injection in den Sortierfunktionen der öffentlich erreichbaren Listenansichten.

Für beide Angriffswege ist kein Joomla-Benutzerkonto erforderlich.

Wichtig: Die SQL-Injection besitzt zum Zeitpunkt dieser Veröffentlichung keine eigene CVE-Nummer. CVE-2026-102427 bezieht sich ausschließlich auf die File-Upload-/Remote-Code-Execution-Schwachstelle.

CVE-2026-102427 ermöglicht PHP-Code-Ausführung ohne Anmeldung

Die schwerwiegendste Schwachstelle befindet sich in der Upload-Funktion von OrdaSoft Joomla CCK.

Die betroffene Datei site/uploader.php kann über das normale Frontend-Routing der Joomla-Komponente mit task=getContent erreicht werden.

Nach den vom Joomla-Projekt als CNA veröffentlichten technischen Informationen findet auf diesem Ausführungspfad weder eine Authentifizierungs- noch eine ACL-Prüfung statt.

Der Upload-Handler überprüft den tatsächlichen Inhalt einer hochgeladenen Datei über deren Magic-Byte-MIME-Typ. Die eigentlich vorgesehene Allow-List für zulässige Dateiendungen war in den verwundbaren Versionen jedoch deaktiviert.

Die Dateiendung der gespeicherten Datei wurde dadurch direkt aus dem vom Angreifer gelieferten Dateinamen übernommen.

Anschließend wurde die Datei in einem Verzeichnis unterhalb des Joomla-Webroots gespeichert, in dem PHP-Dateien vom Webserver ausgeführt werden können.

Wie führt der Datei-Upload zu Remote Code Execution?

Ein Angreifer kann eine sogenannte Polyglot-Datei erstellen. Eine solche Datei beginnt beispielsweise mit gültigen Bilddaten, enthält anschließend jedoch zusätzlich PHP-Code.

Die Datei kann dadurch die in OS CCK vorhandene MIME-Prüfung als Bild bestehen und gleichzeitig vom Angreifer mit einer .php-Dateiendung versehen werden.

Da die verwundbaren Versionen diese Dateiendung nicht ausreichend einschränken, kann die Datei als PHP-Datei in einem über das Web erreichbaren Verzeichnis gespeichert werden.

Ruft der Angreifer die hochgeladene Datei anschließend über HTTP auf, führt der Webserver den enthaltenen PHP-Code aus.

Damit erhält der Angreifer Remote Code Execution mit den Berechtigungen des PHP- beziehungsweise Webserver-Benutzers, unter dem die Joomla-Website ausgeführt wird.

CVE-2026-102427 hat einen CVSS-Score von 10,0

Das Joomla-Projekt bewertet CVE-2026-102427 mit dem maximalen CVSS-4.0-Score von 10,0 Critical.

Der veröffentlichte Vektor lautet:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Die wesentlichen Eigenschaften sind:

• über das Netzwerk erreichbar;
• niedrige Angriffskomplexität;
• keine zusätzlichen Attack Requirements;
• keine Authentifizierung erforderlich;
• keine Benutzerinteraktion erforderlich;
• hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Was kann ein Angreifer nach erfolgreicher RCE tun?

Bei erfolgreicher Ausnutzung kann ein Angreifer unter anderem:

• Webshells und andere Malware installieren;
• Joomla-Dateien lesen oder verändern;
• auf configuration.php zugreifen;
• Datenbank-Zugangsdaten und andere Secrets auslesen;
• Templates und Erweiterungen manipulieren;
• persistente Backdoors installieren;
• auf Daten zugreifen, die für die betroffene Joomla-Installation erreichbar sind;
• die kompromittierte Website für weitere Angriffe verwenden.

Auf einer korrekt isolierten Hosting-Plattform bedeutet Code-Ausführung innerhalb einer Joomla-Website nicht automatisch Root-Zugriff auf den gesamten Server. Die betroffene Website selbst sollte nach erfolgreicher Ausnutzung jedoch als potenziell vollständig kompromittiert betrachtet werden.

Zusätzliche SQL-Injection ohne Anmeldung

Neben CVE-2026-102427 wurde in OS CCK eine weitere Sicherheitslücke in den öffentlich erreichbaren Listenansichten behoben.

OS CCK ermöglicht das Sortieren von Datensätzen. In Versionen vor 8.3.16 konnten die Parameter für das Sortierfeld beziehungsweise die Sortierreihenfolge in die SQL-Abfrage gelangen, ohne zuvor gegen eine feste Liste zulässiger Datenbankspalten geprüft zu werden.

Besonders problematisch ist hierbei das SQL-ORDER BY-Konstrukt. Ein Spaltenname ist Teil der SQL-Struktur und kein normaler Datenwert. Klassisches Escaping oder Parameter Binding allein kann dieses Problem deshalb nicht zuverlässig verhindern.

Ein nicht angemeldeter Besucher konnte dadurch die Struktur der zugrunde liegenden Datenbankabfrage beeinflussen.

Wie wurde die SQL-Injection behoben?

In OS CCK 8.3.16 wird das angeforderte Sortierfeld gegen die tatsächlich zulässigen Spalten des betreffenden Content-Typs und eine begrenzte Liste bekannter Sortierschlüssel geprüft.

Stimmt die angeforderte Spalte nicht mit einem erlaubten Wert überein, verwendet OS CCK einen sicheren Standardwert.

Damit wird verhindert, dass frei kontrollierbare Eingaben als Bestandteil der SQL-Struktur verwendet werden.

Für diese SQL-Injection wurde zum Zeitpunkt dieser Veröffentlichung keine eigene CVE-Nummer vergeben. Die Änderung ist jedoch direkt in OS CCK 8.3.16 enthalten und wurde unabhängig im veröffentlichten Paket nachvollzogen.

Welche OrdaSoft Joomla CCK-Versionen sind betroffen?

• OS CCK 1.0.0 bis einschließlich 8.3.15 – für CVE-2026-102427 verwundbar
• OS CCK vor 8.3.16 – von der SQL-Injection betroffen
• OS CCK Light/free 8.3.16 – beide Sicherheitsprobleme behoben

Version 8.3.16 stellt für Uploads eine Allow-List mit den Dateiendungen jpg, jpeg, png, gif und webp wieder her. Zusätzlich wurde die Verarbeitung der Sortierfelder abgesichert.

Die automatische Joomla-Updateprüfung kann 8.3.16 übersehen

Bei diesem Sicherheitsupdate gibt es ein zusätzliches operatives Problem.

Nach der Veröffentlichung von OS CCK 8.3.16 meldete der Update-Manifest-Server von OrdaSoft weiterhin Version 8.3.14 als aktuelle Version.

Dadurch kann eine Joomla-Installation mit einer verwundbaren OS-CCK-Version melden, dass keine Aktualisierung verfügbar ist, obwohl Version 8.3.16 bereits veröffentlicht wurde.

Administratoren sollten deshalb das tatsächlich installierte Versionsnummer manuell kontrollieren und Version 8.3.16 beziehungsweise eine neuere bestätigte sichere Version direkt über den offiziellen OrdaSoft-Kanal installieren.

Besondere Vorsicht bei OS CCK Pro

Die Pro-Ausgabe verwendet dasselbe Joomla-Element com_os_cck, folgt jedoch einer anderen beziehungsweise nicht ausreichend öffentlich dokumentierten Versionshistorie.

Eine konkrete korrigierte Pro-Version konnte anhand der öffentlich verfügbaren Informationen nicht zuverlässig bestätigt werden.

Betreiber der Pro-Ausgabe sollten deshalb nicht einfach davon ausgehen, dass eine bestimmte Pro-Version sicher ist, sondern die verfügbare korrigierte Version direkt bei OrdaSoft überprüfen.

Wird CVE-2026-102427 bereits aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung gibt es keine zuverlässige öffentliche Bestätigung einer aktiven Ausnutzung von CVE-2026-102427 in freier Wildbahn.

Die Schwachstelle befindet sich derzeit nicht im CISA Known Exploited Vulnerabilities Catalog. Die an den CVE-Datensatz angehängte CISA-Bewertung nennt ebenfalls keine beobachtete Exploitation.

Das bedeutet jedoch nicht, dass die Schwachstelle ungefährlich oder schwer auszunutzen ist.

Der Angriff ist ohne Authentifizierung über einen vorhersehbaren Endpunkt erreichbar und lässt sich grundsätzlich automatisieren. Bei einer Remote-Code-Execution-Schwachstelle mit CVSS 10,0 sollte die verfügbare Sicherheitskorrektur daher ohne Verzögerung installiert werden.

Was sollten Joomla-Administratoren jetzt tun?

1. Prüfen Sie, ob OrdaSoft Joomla CCK beziehungsweise com_os_cck installiert ist.
2. Kontrollieren Sie die genaue installierte Version manuell.
3. Aktualisieren Sie OS CCK Light/free auf 8.3.16 oder eine neuere bestätigte sichere Version.
4. Verlassen Sie sich nicht ausschließlich auf die automatische Joomla-Updateprüfung.
5. Deaktivieren Sie die Komponente, wenn eine sichere Version nicht unmittelbar installiert werden kann.
6. Kontrollieren Sie Upload-Verzeichnisse auf unerwartete ausführbare Dateien.
7. Prüfen Sie Webserver-Logs auf verdächtige Upload- und Ausführungsaktivitäten.
8. Untersuchen Sie Datenbank- und Anwendungsaktivitäten auf mögliche SQL-Injection-Versuche.

Nur den Joomla-Menüpunkt zu deaktivieren reicht nicht aus

Wenn ein Update nicht unmittelbar möglich ist, sollte die betroffene Komponente selbst deaktiviert werden.

Lediglich einen Joomla-Menüpunkt zu deaktivieren oder zu verstecken reicht nicht aus. Die verwundbare Upload-Funktion kann über das eigene Frontend-Routing der Komponente direkt erreicht werden.

Eine Web Application Firewall kann eine zusätzliche Schutzschicht bieten, ersetzt jedoch weder das Sicherheitsupdate noch die Deaktivierung einer verwundbaren Komponente.

Upload-Verzeichnisse auf PHP-Dateien kontrollieren

Bei CVE-2026-102427 sollte insbesondere nach unerwarteten ausführbaren Dateien in Verzeichnissen gesucht werden, die dem folgenden Muster entsprechen:

/images/com_os_cck*/original/

Kontrollieren Sie diese und verwandte Upload-Verzeichnisse insbesondere auf:

• .php-Dateien;
• .phtml-Dateien;
• .phar-Dateien;
• Dateien mit verdächtigen doppelten Endungen;
• Dateien, deren tatsächlicher Inhalt nicht zur Dateiendung passt.

Ausführbarer PHP-Code sollte sich normalerweise nicht in einem Joomla-Verzeichnis befinden, das ausschließlich für Bilder oder andere Benutzer-Uploads vorgesehen ist.

Wird dort eine unbekannte ausführbare Datei gefunden, sollte die Website als potenziell kompromittiert behandelt werden. Das einfache Löschen der betreffenden Datei ist dann nicht ausreichend.

Webserver-Logs auf Exploitationsversuche prüfen

Prüfen Sie vorhandene Access- und Security-Logs auf ungewöhnliche Requests im Zusammenhang mit OS CCK.

Relevant sind unter anderem:

• Requests im Zusammenhang mit site/uploader.php;
• Frontend-Routen mit task=getContent;
• Upload-Requests, denen direkte Aufrufe neu angelegter Dateien unter /images/ folgen;
• ungewöhnliche Werte in order_field oder order_direction;
• SQL-Syntax oder ungewöhnliche Kodierung in Requests an OS CCK.

Ein verdächtiger HTTP-Request allein beweist keine erfolgreiche Exploitation. Die Requests sollten mit neu angelegten Dateien, PHP-Ausführung, Datenbankaktivitäten und nachfolgenden Änderungen an Joomla abgeglichen werden.

Was tun bei Verdacht auf Remote Code Execution?

Wird eine unbekannte ausführbare Datei oder ein anderer Hinweis auf erfolgreiche RCE gefunden, reicht ein Update von OS CCK allein nicht aus.

Die gesamte Joomla-Installation sollte dann als potenziell kompromittiert betrachtet werden.

Kontrollieren Sie mindestens:

• Joomla-Core-Dateien;
• installierte Templates und Erweiterungen;
• configuration.php;
• Administrator- und Super-User-Konten;
• unbekannte PHP- und andere ausführbare Dateien;
• Scheduled Tasks und serverseitige Cronjobs;
• Datenbankänderungen;
• API-Keys, SMTP-Zugangsdaten und andere Secrets;
• Webserver-, PHP- und Systemlogs.

Relevante Passwörter, API-Keys und andere Zugangsdaten sollten aus einer vertrauenswürdigen Umgebung geändert werden, nachdem der unbefugte Zugriff entfernt und die Integrität der Website wiederhergestellt wurde.

Managed Hosting und Serversicherheit bei Vservs

Eine Sicherheitslücke, über die beliebiger PHP-Code ausgeführt werden kann, betrifft nicht nur das CMS selbst. Benutzerisolation, Dateiberechtigungen, PHP-Konfiguration, Logging, Malwarekontrolle und Server-Hardening tragen dazu bei, die möglichen Auswirkungen einer kompromittierten Website zu begrenzen.

Mit Vservs Managed VPS Hosting übernehmen wir das technische Servermanagement, Betriebssystem- und Sicherheitsupdates, Hardening, Monitoring und die Verwaltung der zugrunde liegenden Linux-Hostingumgebung.

Zusammenfassung

• Produkt: OrdaSoft Joomla CCK / OS CCK / com_os_cck
• CVE: CVE-2026-102427
• Schwachstelle: unauthentifizierter Arbitrary File Upload mit